بلّغ عن ثغرة

الإبلاغ عن مشكلة

اكتب ما وجدته، وكيف يمكن تكراره، وما الذي يتيحه لأي شخص. أرسل أصغر دليل يُظهره.

لا يوجد هنا برنامج مكافآت.

أثناء البحث

• اختبر بحسابك ومفاتيحك وأموالك أنت فقط.
• لا تقرأ بيانات أي شخص آخر ولا تغيّرها ولا تمحها أبدًا. توقّف وأخبرنا فور وصولك إلى شيء منها.
• الرصيد والإيداعات أموال حقيقية. أثبت أي خلل فيها بأصغر مبلغ، ولا تحتفظ بشيء مما يمنحك، واذكر ما أخذته كي يُعاد.
• لا حجب للخدمة، ولا إغراق، ولا رسائل مزعجة، ولا هندسة اجتماعية تستهدف الناس أو المشغّل.
• امنح المشغّل وقتًا لإصلاح المشكلة قبل أن تتحدث عنها علنًا.

ما يشمله هذا

الموقع، وAPI تحت /v1، وخادم MCP المستضاف في /mcp، والكود الذي يقدّمها.

لا يشمل: الخدمات التي يعتمد عليها Antimatter (مزودو النماذج، وPrivy، والمحافظ، والسلاسل)، ولا جهازًا أو متصفحًا مخترقًا أصلًا، ولا ترويسة أو إعدادًا مفقودًا لا يتيح لأحد فعل شيء.

كيف تُحمى الحسابات والأموال

كل سطر قاعدة يفرضها الكود اليوم.

1. تسجيل الدخول توقيع من محفظتك على رسالة تُستخدم مرة واحدة. لا توجد كلمة مرور تُسرق.
2. تدوم الجلسة 30 يومًا، وتتجدد ما دمت تستخدمها، ويمكن إنهاؤها من أي جهاز آخر في لوحة التحكم.
3. محو حساب، وإنشاء مفتاح يدير الأموال أو الوكلاء أو توسيع صلاحياته، وكل إجراء للمشغّل، كلها تحتاج إلى توقيع جديد من المحفظة صالح لمدة 5 دقيقة.
4. لا تُحفظ مفاتيح API إلا كملخص SHA-256، وتُعرض مرة واحدة عند إنشائها.
5. مفاتيح المزودين التي تحفظها مشفّرة أثناء التخزين ولا تُعرض مرة أخرى.
6. يجب أن يأتي كل تغيير يتم بملف تعريف ارتباط تسجيل دخولك من صفحات هذا الموقع نفسه.
7. تعمل الصفحات تحت سياسة أمان محتوى لا تشغّل إلا السكربتات التي تحمل nonce الصفحة نفسها الجديد.
8. تُكتب إجراءات الحسابات والمشغّل في سجل تدقيق لا يُضاف إليه إلا الجديد ولا يُعدَّل.
9. يُختم الاستخدام ودفتر الحساب كل يوم، لذا يمكن التحقق من الإيصال دون الوثوق بنا.